يعمل OpenVPN في المنزل لكنه لا يعمل على شبكة معينة: UDP أم TCP؟

يتصل الملف الشخصي نفسه من المنزل ويتعطّل على شبكة فندق أو حرم جامعي أو فرع. لم تتغيّر بيانات الاعتماد، لذا المتغيّر المثير للاهتمام هو المسار: ما يحدث للحزم قبل أن OpenVPN يقرأها. مقارنة أربعة أسباب محتملة بالترتيب الذي يمكن اختبارها به أفضل من التخمين في الشهادات. كل سبب يترك أثرًا مختلفًا، والأثر هو ما يفصل بينها.

المرحلة التي فشلت تحدّد أي مقارنة تهم

سجل العميل يسجّل بالفعل إلى أي مدى وصلت. السطر الذي يقول إن تفاوض مفتاح TLS لم يحدث خلال المهلة يعني أن أول حزمة غادرت ولم يرجع شيء قابل للاستخدام، وهذا يشير إلى المسار. رفض الشهادة لا يشبه ذلك إطلاقًا: تصل استجابة، ثم يذكر خطأ تحقّق محدّد السبب. لاحظ السطر الأخير قبل حلقة إعادة المحاولة، لأنه القيمة التي تقارنها بين الشبكات.

التقط أثناء إعادة المحاولة وليس بعدها. على العميل، يُظهر tcpdump -ni any udp port 1194 ما إذا كانت أي استجابة ترجع إطلاقًا. كرّر ذلك على واجهة WAN لخادم تتحكم به، وهذا يكشف ما إذا كانت تلك الحزم تصل إلى الطرف البعيد إطلاقًا.

حركة المرور أحادية الجانب هي أنفع نتيجة متاحة هنا، لأنها تحوّل شكوى متقطعة إلى اتجاه للتحقيق. احتفظ بملفات الالتقاط، لأن التقرير التالي عن المشكلة نفسها أسهل في الإغلاق بالأدلة منه بالوصف.

تصفية UDP مقابل منفذ مغلق

تعتبر شبكات الوصول الكثيرة أن UDP المستمر مشبوه، وبعض مزوّدي الخدمة يوافقونها. المنفذ المغلق ينتج الصمت نفسه من جانب العميل. الفرق هو الانتقائية: المرشّح يميل إلى أن يكون صعب الإرضاء بشأن الوجهات أو المنافذ التي يُسقطها، بينما المنفذ المغلق يرفض كل ما يُوجَّه إلى ذلك المنفذ الواحد.

ملف TCP على المنفذ 443 هو الحل المعتاد، لأنه يشبه تدفّق HTTPS عاديًا ويمرّ عبر معظم بوابات الالتقاط ومرشّحات الخروج. يجب أن يتحقّق شرطان. يجب أن يستمع الخادم باستخدام proto tcp-server ويجب أن يطابقه العميل باستخدام proto tcp-client، وعلى المشغّل أن ينشر تلك النقطة الطرفية البديلة. إعادة كتابة ملف UDP عامل ليدّعي TCP 443 لا تصل إلى شيء عندما لا يستمع أحد في الطرف الآخر.

المنفذ المغلق مشكلة إعداد وليس مشكلة رقابة. الخادم الموجود خلف راوتر منزلي يحتاج إلى تمرير منفذ UDP الخاص به، وعلى جدار الحماية في الراوتر أن يسمح به. عندما لم يُسمح بالمنفذ قط، يفشل كل عميل عند التفاوض بصرف النظر عن بيانات الاعتماد، ويتبع الفشل الخادم بدلًا من الشبكة.

البروتوكولات الأقدم تقارن بشكل سيئ على هذا المحور. يحتاج PPTP إلى TCP 1723 بالإضافة إلى GRE، وGRE هو بروتوكول IP رقم 47 وليس منفذًا، لذا لا يعبّر عنه أي تمرير منفذ عادي.

عندما يكون المحوّل هو من يُسقط الحزم

يمكن لمحوّل مُدار أن يُسقط النفق عن قصد. بعض طرازات HPE وAruba تعرض ضابط حماية من فيضان UDP، يُسمّى أحيانًا Prevent UDP Blat Attack، في قسم الأمان المتقدّم. متى صار ذلك الضابط نشطًا، لا يجيب الخادم الموجود خلف المحوّل بشيء وتنتهي مهلة كل عميل بالطريقة نفسها. إزالته وحفظ الإعداد الجاري هو الإصلاح كله، لكن فقط بعد أن تتأكّد من أن المحوّل فعلًا في المسار.

الأدلة المضادة هي ما يفصل إسقاط المحوّل عن حجب المزوّد. اقرأ عدّادات الواجهة وسجل حماية الفيضان قبل فتح تذكرة مع مزوّد الخدمة. راوترات المستهلك بحماية DoS أو الفيضان تفشل بالشكل نفسه، وكذلك أي صندوق وسيط بمهلة خمول قصيرة لـ UDP. المصافحة التي لا تكتمل تشير إلى إسقاط، بينما النفق الذي يموت بعد دقائق من الصمت يشير إلى المهلة.

اكتب كل جهاز بين العميل والخادم قبل تغيير ملف شخصي. الإصلاح المطبّق في الطبقة الخطأ يبدو صحيحًا حتى الشبكة التالية. تلك القائمة تخبر المهندس التالي أيضًا أين ينظر دون تكرار التحقيق كله.

تعارض عناوين يبدو كفشل DNS

شبكة وصول مرقّمة داخل 10.0.0.0/8 يمكن أن تتعارض مع مجموعة النفق، والمحلّل يعيش عادة داخل تلك المجموعة. عندما يتلقّى حاسوب محمول عنوانًا مثل 10.184.178.50 بقناع /8 على Wi-Fi، فكل وجهة 10.x محلية بحكم التعريف. الحزم الموجّهة إلى 10.4.0.1 تذهب عندها إلى LAN، ويبقى النفق قائمًا، ويفشل تحليل الأسماء.

يكشف ip addr التعارض بنظرة واحدة، ويُظهر ip route get 10.4.0.1 أين ستُسلَّم الحزمة فعلًا. لأن العَرَض الظاهر هو فشل المحلّل، غالبًا ما ينجو هذا من عدة جولات من تغييرات DNS.

أعد ترقيم المجموعة أو أبقِ شبكة الوصول تلك خارج النطاق. لا يوجد إعداد من جانب العميل يتعافى من تعارض.

الاختيار بين رجوع TCP وإصلاح المسار

اختر رجوع TCP عندما لا تتحكم بالمسار ويحتاج المستخدمون إلى العمل اليوم، واقبل تكاليفه: TCP داخل TCP يتصرّف بشكل سيئ على الوصلات المليئة بالفقد، والرجوع يحتاج إلى مستمع تشغّله أنت. اختر إصلاح المسار عندما يقع الحجب على بنية تحتية تملكها، لأن قاعدة جدار حماية أرخص من مستمع ثانٍ. في كلتا الحالتين، اعمل عبر الطبقات بالترتيب: الوصلة، النقل الخارجي، التفاوض، التوجيه الداخلي. المرحلة التي فشلت على تلك الشبكة هي الحقيقة الوحيدة المهمة.

سجّل النتيجة لكل شبكة لا لكل مستخدم. يبدأ التقرير التالي عن الفشل نفسه عندها من مرحلة معروفة بدلًا من نظرية شهادة. ذلك السجل هو أيضًا ما يبرّر مستمعًا ثانيًا دائمًا، إن احتُج إلى واحد يومًا.